UCB BCR 日付： 2015年11月30日 1 / 22ページ データ保護とプライバシーに関する 拘束力のあるコーポレート規則 (BCR) 目次 1 2 3 概要................................................................................................................................................................... 2 定義................................................................................................................................................................... 3 適用対象......................................................................................................................................................... 4 4 処理およびグループ内転送に適用される共通規則 ................................................................... 5 5 10 11 12 13 14 データ主体へのBCRの提供 個人情報の処理に関連する情報 個人情報に対するアクセス、訂正、消去、および遮断の権利 個人に関する自動化された決定 ......................................................................................................... 8 セキュリティおよび機密性 ....................................................................................................................... 8 UCB BCR適用法人である処理者との関係 .................................................................................... 9 UCB BCR適用法人ではない外部の処理者および管理者への送信および転送の制 限 ................................................................................................................................................................ 9 社内情報およびトレーニング ................................................................................................................. 9 監査................................................................................................................................................................. 10 遵守および遵守の監督 .......................................................................................................................... 10 国の法律によりBCRを遵守できない場合の措置 ....................................................................... 10 内部告発処理手続................................................................................................................................... 11 15 16 17 18 19 目的の制限 データの品質、保持、および相応性 個人情報の処理の法的根拠 要配慮個人情報の処理の法的根拠 個人情報へのアクセスの制限 透明性および情報の権利 ....................................................................................................................... 7 6 7 8 9 BCRによって拘束されるUCBの法人の説明 BCRの対象となる個人情報の処理と転送の説明 UCB BCR適用法人によるデータ保護要件の遵守 UCBの従業員によるBCRの遵守 UCB内部告発処理手続 UCB BCR適用法人の従業員の追加の報告義務 裁判所またはデータ保護監督当局に要求を提出する追加の権利 第三者受益権 ............................................................................................................................................. 12 EEAの責任 .................................................................................................................................................... 12 データ保護監督当局との協力 ............................................................................................................. 13 BCRの更新 ................................................................................................................................................... 13 BCRの発効日および有効期間 ............................................................................................................ 13 別紙1 - UCB BCR適用法人 ....................................................................................................................... 14 別紙2 - BCRの対象となる個人情報および処理・転送の目的 ................................................... 18 UCB BCR 1 日付： 2015年11月30日 2 / 22ページ 概要 グローバルバイオファーマ企業である UCB S.A. とその駐在員事務所、および関連会社（以 下「UCB」という）は、医薬品の研究、開発、製造、販売、および流通事業を展開し、患者、 医療関係者、社会全体のニーズに応えている。 UCB は、企業活動をグローバルに成功させるために、様々なデータの収集、使用、保存、 開示、国境を超えての転送を日常的に行っており、その中には個人（以下「データ主体」と いう）を直接的または間接的に特定するパーソナルデータ（以下「個人情報」といい、以下で 定義する）も含まれている場合がある。 UCB は、世界中で個人情報のプライバシー保持に努めており、従業員およびビジネスパー トナーが、UCB の名前の下でまたは UCB の代理として収集、保存、処理するあらゆる個人 情報について、これらを保護するために必要な措置を取ることを求めている。 このような取 り組みを実際に示すため、UCB は、グローバル行動規範においてプライバシーをグループ の中心的価値の 1 つに含め、UCB のグローバル事業プロセスの裏付けとなる包括的なデ ータ保護およびプライバシープログラムを、革新的な技術の利点とリスクを考慮して策定し た。 このプログラムの 2 つの基本要素として、UCB は、個人情報保護に関するグローバル ポリシーと個人情報保護に関する従業員グローバルポリシー（あわせて以下「グローバル プライバシーポリシー」という）の 2 つのグローバルプライバシーポリシーを採用した。 BCR は、これらのグローバルプライバシーポリシーを踏まえ、拡充し、適用されるデータ保 護要件およびセキュリティ要件を世界中で UCB が確実に遵守できるようにする。 特に、 BCR は、データ保護指令 95/46/EC1（以下「95/46/EC 指令」という）、および適用される場 合は e プライバシー指令 2002/58/EC（以下「2002/58/EC 指令」という）2、またはその他の 関連する各国のデータプライバシーに関する法律と規制の規定に従い、個人情報の処理 および転送に関する保護の基準を規定する。 BCR は、本文書および別紙、ならびにグローバルプライバシーポリシーにより構成される。 これらの文書の間で矛盾があった場合、BCR に関する本文書が優先されるものとする。 1 個人データの処理に係る個人の保護および当該データの自由な移動に関する1995年10月24日の欧州 議会および理事会の95/46/EC指令 2 電子通信部門における個人データの処理とプライバシーの保護に関する 2002 年 7 月 12 日の欧州議 会および理事会の 2002/58/EC 指令（「Cookie 指令」とも称される） UCB BCR 2 日付： 2015年11月30日 3 / 22ページ 定義 拘束力のあるコーポレート規則（以下「BCR」という）：特に UCB 内での個人情報の国際 的な転送に関して、データ保護およびプライバシー遵守を世界中で確保するため、本文 書およびグローバルプライバシーポリシーに規定される社内規則をいうをいう。 個人情報保護管理責任者： UCB 内のデータ保護およびプライバシープログラムの策 定と実施に関して全体的な責任を負う、任命された担当者をいう。 データ保護監督当局： 個人情報の保護に関して責任を負う監督当局のこと。 管理者： 単独または他の団体と合同で個人情報の処理または転送の目的と手段を決 定する、自然人または法人、公共団体、機関、その他の団体をいう。 データ主体： UCB によって自らの個人情報を処理される個人をいう。 現地個人情報保護管理者： 現地における BCR の遵守など、各国のデータ保護および プライバシー遵守に関して責任を負う、各国内の任命された担当者をいう。 個人情報： 特定のまたは特定可能な自然人に関連するあらゆる形式のデータをいう。 名前、住所、電話番号、電子メールアドレス、銀行口座番号、画像、ビデオ、臨床試験 における患者のキーコード付き情報、従業員の実績記録などが含まれる（ただし、これ らに限定されない）。「特定可能な個人」とは、ID 番号または要素を参照することによっ て、直接的または間接的に特定することが可能な個人をいう。 処理者：管理者のためまたは管理者の代理として個人情報を処理する自然人または法 人、公共団体、機関、その他の団体をいう。 処理： 個人情報に対し、自動的な方法またはその他の方法によって実行されるいずれかの 操作または一連の操作をいう。 これには、個人情報の収集、記録、整理、保存、更新ま たは変更、取得、参照、使用、転送、配布、視覚的なアクセス、その他のあらゆる形式 による提供による開示、結合、連携または組み合わせ、遮断、消去または破棄などが 含まれる。 要配慮個人情報： 適用されるデータ保護およびプライバシーに関する現地の規則に基 づき、追加保護が必要とされる可能性がある、個人情報の一部をいう。 どのデータが 要配慮個人情報と見なされるかは国によって異なるが、一般的にこのようなデータには、 人種的または民族的出自を明らかにするデータ、政治的意見、宗教的または哲学的信 条、労働組合加入状況、健康または性生活に関するデータ、犯罪、刑事上の有罪判決、 または安全対策に関連するデータなどが含まれる。 UCB BCR 日付： 2015年11月30日 4 / 22ページ 転送： ある国から別の国へ、または欧州経済地域3（以下「EEA」という）参加国から EEA 外の 場所への個人情報の転送をいう。 「転送」という用語には、処理を行うためのリモートア クセスが含まれる。 UCB S.A.： ベルギーの法律の下で設立され、Allée de la Recherche 60, 1070 Brussels, Belgium に登録事務所があり、企業番号が 403.053.608,RPR/RPM Brussels である、 UCB グループの親会社をいう。 別段の規定がある場合を除き、BCR において定義されていない用語または表現は、 95/46/EC 指令で使用されている意味を持つものとする。 適用可能な場合および適用可能 な限りにおいて、BCR における 95/46/EC 指令への参照には、現行の 95/46/EC に置き換 わる後続の欧州データ保護法が含まれるものとする。 また、疑念がある場合、BCR の内容は 95/46/EC 指令の規定、および必要に応じて 2002/58/EC 指令の規定に従って解釈されるものとする。 3 適用対象 BCR によって拘束される UCB の法人： BCR は、UCB S.A.と、別紙 1 の一覧に記載されたすべての UCB の法人（支社を含む）を拘 束する（あわせて以下「UCB BCR 適用法人」という）。 BCR の対象となるデータ主体および個人情報の処理と転送： BCR は、UCB BCR 適用法人によるすべての個人情報処理と、別紙 2 に定める目的のた めの UCB BCR 適用法人間でのかかる個人情報の転送に対して適用され、かかる個人情 報は以下のいずれかに関連するものとする。 - - 3 「患者および介護者」：患者、患者の血縁者・家族、および介護者 「UCB の従業員」：UCB BCR 適用法人の従業員（現在および過去の従業員）、従業 員の血縁者・近親者、UCB BCR 適用法人の仕事に応募した採用予定者、および UCB BCR 適用法人の取締役・役員 「外部作業者」：UCB の従業員ではないが、請負業者、独立コンサルタント、臨時作 業者など、契約または同様の合意の下、UCB BCR 適用法人のためまたはその代 理としてサービスを提供する個人 EEA 参加国：オーストリア、ベルギー、ブルガリア、キプロス、チェコ共和国、デンマーク、エス トニア、フィンランド、フランス、ドイツ、ギリシャ、ハンガリー、アイスランド、アイルランド共 和国、イタリア、ラトビア、リヒテンシュタイン、リトアニア、ルクセンブルグ、マルタ、オランダ、 ノルウェー、ポーランド、ポルトガル、ルーマニア、スロバキア、スロベニア、スペイン、スウェー デン、イギリス UCB BCR - - 日付： 2015年11月30日 5 / 22ページ 「医療関係者」：診断、治療、医療の提供に専門的に関与する医師、医師助手、看 護師、薬剤師、研究者、支払者の従業員、官僚などの個人（ただし、これらに限定さ れない） 「外部ベンダー」：UCB BCR 適用法人にサービスや製品を提供する、コンサルティン グ会社、開発業務受託機関（CRO）、外部研究所、販売業者など（ただし、これらに 限定されない）の外部ベンダー・ビジネスパートナーの従業員および代表者 UCB 適用法人によるデータ保護要件の遵守： - 世界中で、別紙 2 において規定されている個人情報を処理または転送する場合、 UCB BCR 適用法人は、適用されるデータ保護法を遵守するために、あらゆる合理 的で必要な措置を取ることとする。 - 個人情報の保護レベルを一致させるため、国内にそのようなデータ保護法がない場 合や、現地のデータ保護法が BCR において規定されている基準を満たしていない 場合であっても、UCB BCR 適用法人は BCR を遵守して個人情報を処理することと する。 - 国内の適用されるデータ保護法において、BCR より高いレベルの個人情報保護が 要求されている場合は、その法律が BCR より優先されるものとする。 - UCB BCR 適用法人は、BCR において規定されているすべての規則を遵守している 場合であっても、適用される法律によって要求される国内の関連当局の優先する手 続を満たす義務は免除されない。 UCB の従業員による BCR の遵守： UCB BCR 適用法人の従業員は、別紙 2 において規定されている個人情報を処理または 転送する場合、BCR およびその他の関連する適用される法律および規制に必ず従うものと する。 BCR の遵守はすべての UCB BCR 適用法人の従業員の責務であり、雇用条件に含まれる ものとする。UCB BCR 適用法人の従業員が BCR に違反した場合、解雇を含む懲戒処分 の対象となる。 4 処理およびグループ内転送に適用される共通規則 別紙 2 に記載されている個人情報の処理および転送に関して、UCB BCR 適用法人および その従業員は、以下の規則を適用することに同意するものとする。 目的の制限： - UCB BCR 適用法人は、別紙 2 において定義された目的に一致する、特定の関連 する正当な目的で、別紙 2 に記載されている個人情報を処理および転送する。 か かる目的に適合しない方法で、処理および転送される個人情報の処理を進めては UCB BCR ならない。 日付： 2015年11月30日 6 / 22ページ UCB BCR 7 / 22ページ データの品質、保持、および相応性： - 日付： 2015年11月30日 UCB BCR 適用法人は、別紙 2 に記載された個人情報の処理を、目的の追求のた めに必要かつ相応の内容に限定する。 UCB BCR 適用法人は、合理的な方法によって、個人情報の正確性、完全性、最新 性、使用目的に応じた信頼性を維持する。 UCB BCR 適用法人は、適用される法律または規制で別途要求される場合を除き、 その個人情報の収集に係る正当な業務上の目的を満たすために必要な場合に限 り、UCB のデータ保持ポリシーに従って個人情報を保持する。 個人情報の処理の法的根拠： 個人情報の処理は、以下のうち 1 つ以上の法的根拠に基づくものとする。 - データ主体の明確な同意。 データ主体が当事者である契約を履行するため、または契約締結前にデータ主体 の要求で措置を講じるために処理が必要である場合。 UCB が適用を受ける法律上の義務を遵守するために処理が必要である場合。 データ主体の重大な利益を保全するために処理が必要である場合。 公共の利益のための任務の遂行のために、または、管理者もしくは個人情報の開 示先である第三者に帰属する職権の行使において、処理が必要である場合。 UCB が追求する正当な利益のために処理が必要である場合。ただし、かかる利益 より、データ主体の基本的権利および自由のための利益が優先される場合を除く。 要配慮個人情報の処理の法的根拠： 要配慮個人情報の処理は、以下のうち1つ以上の法的根拠に基づくものとする。 - データ主体の明確な同意。 - 雇用法の分野におけるUCBの義務および特定の権利を行使するために必要な場 合。ただし、適正な安全性を規定する国内法によって承認される場合に限る。 - データ主体が身体的もしくは法律的に同意を示すことが不可能である場合において、 データ主体または別の人物の重大な利益を保護するために、処理が必要である場 合。 - データ主体によって明白に公開されている要配慮個人情報に処理が関連する場合。 - 法的要求に関する立証、行使、または弁護のために要配慮個人情報の処理が必要 である場合。 - 予防医学、医療診断、看護もしくは治療の準備または医療サービスの管理のため に要配慮個人情報の処理が要求される場合において、国の適格な組織が定めた国 内法もしくは規則により職務上の守秘義務を負う医療従事者、または、同等の守秘 義務を負う他の担当者が、かかる要配慮個人情報を処理する場合。 - 国内法または監督当局の決定によって定められた著しい公共の利益のために、要 配慮個人情報の処理が要求される場合。 UCB BCR 8 / 22ページ 個人情報へのアクセスの制限： - 5 日付： 2015年11月30日 個人情報の処理は、当該作業を職務上および職責上行う必要があるUCB BCR適 用法人の従業員のみに限られるものとする。 透明性および情報の権利 データ主体への BCR の提供： BCR は、UCB のウェブサイト上で、自らの個人情報が BCR の対象となっているすべての データ主体に対して公開される。 また、データ主体は、関連する UCB BCR 適用法人または個人情報保護管理責任者に連 絡して要求することにより、BCR のコピーを受け取ることができる。少なくとも、各 UCB BCR 適用法人は、データ主体が要求を提出するための郵送先住所および電子メールアドレスを 提示するものとする。 個人情報の処理に関連する情報： データ主体に関する公正な処理を保証するため、UCB BCR適用法人は、個別の状況を考 慮して、処理の目的、収集する個人情報のカテゴリー、個人情報を処理する会社の識別情 報、UCBに対する問い合わせまたは苦情の連絡方法、個人情報の使用および開示を制限 するために提供されている選択肢と手段に関する情報を、データ主体に明確かつはっきり 分かるように提供するものとする。 UCB BCR適用法人は、現地の法律で求められているそ の他の情報がある場合は、それらが確実にデータ主体に提供されるようにするものとする。 UCB BCR適用法人は、データ主体から直接個人情報を収集する場合、データ主体が最初 に個人情報の提供を求められる時点およびその場で、またはその後実行可能な限り早い 時点で、明確かつはっきり分かる言語で通知する。 適用される法律で別段の規定がある場合を除き、データ主体から直接収集されない個人 情報に関しては、かかる情報の提供が不可能であると立証できる場合、不相応な努力が必 要となる場合、または個人情報の記録もしくは開示が法律で明示的に要求されている場合 は、データ主体に対する通知の義務は適用されない。 UCB BCR 日付： 2015年11月30日 9 / 22ページ 個人情報に対するアクセス、訂正、消去、および遮断の権利： UCB BCR 適用法人は、データ主体に対して以下の権利を保証するものとする。 - - データ主体が、制約なく、合理的な間隔を置いてまたは十分な根拠を示すことがで きる時に、過度の遅延または費用負担なく、現地のデータ保護法に従って、UCB BCR 適用法人が保有する自らに関する個人情報にアクセス（理解可能な形式で受 け取ることを含む）する権利。 個人情報が不完全または不正確であることを理由として、正当な請求書の提出をも って、データの訂正、消去、または遮断を受ける権利。 特定の状況に関するやむをえない正当な理由がある時に、個人情報の処理に反対 する権利。ただし、当該処理が法律によって求められている場合は除く。 データ主体に関連する個人情報を、要求に応じて無料で、ダイレクトマーケティング のために処理することに反対する権利。 少なくとも、各 UCB BCR 適用法人は、BCR が適用される個人情報のデータ主体が上記の 権利を行使するために、郵送先住所および電子メールアドレスを提供するものとする。 また、データ主体は、個人情報保護管理責任者に手紙または [email protected] に電 子メールを送付して連絡することもできる。 UCB BCR 適用法人の従業員は、現地の人事部門に手紙または電子メールで書面を送付 して、自らの個人情報へのアクセスおよび変更を請求することができる。 UCB BCR 適用法人は、適用される現地の法律に従って、データ主体が自らの個人情報に アクセスする権利を制限する場合がある。 6 個人に関する自動化された決定 UCB BCR 適用法人は、人的関与がない自動的な方法による個人情報の処理のみに基づ いて、データ主体に重大な影響がある意思決定を行わないものとする。ただし、適用される 法律および規制に従って、データ主体の正当な利益を保護する措置が取られている場合を 除く。 7 セキュリティおよび機密性 UCB BCR 適用法人は、処理中にネットワークを経由するデータ転送が行われる場合は特 に、適切な管理的、技術的、物理的な措置を確立、維持し、個人情報が不正使用、開示、 廃棄、改ざんされないよう適切に保護する。 これらのセキュリティ措置は最新の状態が保 たれるようにするものとし、処理の種類に関連するリスク、関係する個人情報の性質、およ び関連する実施費用に相応しいものにする。 要配慮個人情報は、その特別な性質を考慮 し、追加の保護措置が必要となる場合がある。 UCB BCR 8 日付： 2015年11月30日 10 / 22ページ UCB BCR 適用法人である処理者との関係 ある UCB BCR 適用法人が別の UCB BCR 適用法人の代理として個人情報を処理する場 合、処理を実行する UCB BCR 適用法人は、代理される UCB BCR 適用法人の指示に従っ てのみ処理を行わなければならない。 また、別の UCB BCR 適用法人の代理として処理を実行する UCB BCR 適用法人は、個人 情報を保護するために適切な技術的および組織的セキュリティ措置を行い、それらが最新 の状態に保たれ、処理の種類に関連するリスク、関係する個人情報の性質、関連する実施 費用を考慮して適切であるようにしなければならない。 9 UCB BCR 適用法人ではない外部の処理者および管理者への送信およ び転送の制限 UCB BCR 適用法人が、UCB の代理として個人情報を処理する外部の処理者を利用す る場合、UCB BCR 適用法人は、当該処理者から以下に関する契約上の誓約を得る。 （i）UCB BCR 適用法人の指示に基づいてのみ処理を行うこと。 （ii）UCB BCR 適用法人によって開示された個人情報を保護するために適切な技術的 および組織的セキュリティ措置を行い、それらが最新の状態に保たれ、処理の種類に 関連するリスク、関係する個人情報の性質、関連する実施費用を考慮して適切である ようにすること。 外部の処理者に固有の上記規則に加えて、UCB BCR 適用法人は、適用される現地の 法律および規制（UCB BCR 適用法人から転送される個人情報の送信元が EEA である 場合、95/46/EC 指令の個人情報の転送に関する第 25 条および第 26 条を含む）に従 い、転送される個人情報の保護レベルが十分であることを確認した後でのみ、外部の 処理者または管理者へ個人情報を転送する。 10 社内の情報およびトレーニング UCB BCR 適用法人のすべての従業員に情報が十分伝わるようにするため、（グローバル および現地の）UCB は、あらゆる適切な措置を講じて、BCR および関連するデータ保護手 続を従業員が入手できるようにする。 また、個人情報に定期的にアクセスし、またはデータ収集もしくは IT ツールの開発に関わ る UCB BCR 適用法人または第三者のすべての従業員に対し、グローバルまたは現地の UCB は、BCR およびデータ保護規則全般に関する適切な周知を行い、トレーニング資料を 提供する。 UCB BCR 日付： 2015年11月30日 11 / 22ページ 11 監査 UCB のグローバル内部監査部門は、定期的にまたは個人情報保護管理責任者が特に要 求した時に、監査委員会の承認を受けて、UCB による BCR の遵守状況について、個人情 報保護管理責任者と連携して評価を行い、監査委員会および取締役会に報告するものと する。BCR 遵守の監査は、UCB が決定した場合、外部の監査人により実施されることがあ る。 監査の結果は、監査委員会を通じて、グローバル内部監査部門から個人情報保護管理責 任者および UCB S.A.の取締役会に報告され、監査委員会は、適切な手続により、合理的 に実現可能な限り早期に是正措置が実行されるようにする。 監査中に BCR の不遵守が判明した場合、監査人は関係する従業員と連携し、改善措置を 計画し実施するための行動の策定を支援する。監査チームは、改善計画の進捗を定期的 にモニタリングする。 データ保護監督当局から要求された場合、グローバル内部監査部門は、適用される法律 に従い、また、提供される機密情報、部外秘情報、または企業秘密情報を尊重した上で、 監査結果のコピーを当該データ保護監督当局に対しても提供する。 12 遵守および遵守の監督 UCB は、プライバシーおよびデータ保護に関するすべての問題を監督し、BCR の全面的な 遵守に対しても責任を負う個人情報保護管理責任者を指名している。個人情報保護管理 責任者は、副社長およびコンプライアンス責任者への報告を行い、副社長およびコンプライ アンス責任者は、グローバル法務担当上級副社長（Executive VP Global Legal Affairs）へ の報告を行う。 個人情報保護管理責任者は、現地レベルで日常的な監督を行い BCR の遵守に責任を負 う、現地個人情報保護管理者のサポートを受ける。現地個人情報保護管理者は、重大なプ ライバシーに関する問題がある場合は、個人情報保護管理責任者に報告するものとする。 随時、個人情報保護管理責任者の指示により、その他のスタッフのサポートが求められる 場合がある。 13 国の法律により BCR を遵守できない場合の措置 UCB BCR 適用法人は、現地の法律と BCR のプライバシー基準との間に矛盾を発見した 場合、その国の現地個人情報保護管理者または個人情報保護管理責任者に直ちに連絡 しなければならない。 UCB BCR 日付： 2015年11月30日 12 / 22ページ 現地個人情報保護管理者または個人情報保護管理責任者は、（必要に応じ、法務部門と 協議して）どのような措置を実行するかについて責任ある決定を行い、疑念がある場合は、 関係するデータ保護監督当局に相談する。 14 内部告発処理手続 UCB 内部告発処理手続： 別紙 2 に記載された自らの個人情報が、BCR に違反して UCB BCR 適用法人により処理 された可能性があると確信したデータ主体は、自らが居住する国内の UCB の現地個人情 報保護管理者に質問および申立てを提出することができる。 自らの個人情報が不適切に処理されていると確信する UCB BCR 適用法人の従業員は、 現地人事部門または現地個人情報保護管理者に連絡することができる。 特別な事情がある場合を除き、現地個人情報保護管理者または現地人事部門（UCB 従業 員の個人情報に関する場合）は、申立てを行った個人に対し、5 営業日以内に申立ての受 領通知を送付する。 申立ての受領者は、その裁量により、必要に応じて、審査のために当該申立てを個人情報 保護管理責任者・UCB 法務部門に転送することができる。 現地個人情報保護管理者、または該当する場合は、UCB 従業員の個人情報に関係する 現地人事部門は、必要に応じて関連する部門の同僚と連携しながら調査し、申立てに対応 する。 現地個人情報保護管理者または現地人事部門は、合理的に実現可能な限り早期 に、ただし、申立ての受領から 1 カ月以内に、申立人に実質的な回答を示すものとする。 申立てが複雑であるために、現地個人情報保護管理者または現地人事部門が 1 カ月以内 に実質的な回答を示すことができない場合は、申立人に通知し、合理的な見込み回答期限 （2 カ月を超えないものとする）を示すものとする。 申立人は、現地個人情報保護管理者または現地人事部門の回答に異議がある場合、個 人情報保護管理責任者に通知して不服を申し立てることができる。 個人情報保護管理責 任者は、元の申立てと不服申立てを審査し、元の結論を承認するか、新しい結論に差し替 えるものとする。 個人情報保護管理責任者は、合理的に実現可能な限り早期に、ただし、 申立ての送致から 2 カ月以内に、申立人に回答するものとする。 申立てが正当であった場合、個人情報保護管理責任者は、現地の規則に基づく従業員へ の適切な処罰など、結果的に必要な措置がすべて取られるようにする。 UCB BCR 適用法人の従業員の追加の報告義務： UCB BCR 日付： 2015年11月30日 13 / 22ページ UCB の従業員は、BCR に対する違反があったと信じる根拠がある場合、所属長、コンプラ イアンス部門、人事部門、または法務部門に連絡するものとする。 BCR に関する違反または違反の疑いがある場合は、UCB Integrity Line など、UCB のコン プライアンス報告システムを使用して報告することもできる。 裁判所またはデータ保護監督当局に要求を提出する追加の権利： UCB の内部告発処理手続に関わらず、データ主体は常に、データ保護監督当局に助言を 求め、苦情を申し立てる権利および管轄裁判所に申立てを行う権利を有するものとする。 15 第三者受益権 （i）95/46/EC 指令またはデータ保護に関するスイス連邦法（随時改正または新法に置き換 えられる）の対象となる個人情報のデータ主体、および（ii）BCR に基づき欧州外の UCB BCR 適用法人に転送される個人情報のデータ主体は、別紙 2 に記載された個人情報に関 する BCR の第三者の受益者として、BCR の第 4 項、第 5 項、第 6 項、第 7 項、第 8 項、 第 9 項、第 13 項、第 14 項、第 15 項、第 16 項、および第 17 項で規定されている規則を 適用し、下記の機関・裁判所に問題を付託して、付与された権利の侵害に起因する補償の 支払などの司法救済を求める権利を有するものとする。 データ主体は、独自の判断で、以下のいずれかに訴える権利を有する。 (i) データ保護監督当局 (ii) 管轄裁判所 データ主体が EEA 内またはスイスに居住しており、その個人情報が EEA またはスイス以 外にある UCB BCR 適用法人に転送された場合、データ主体は、データ保護監督当局に訴 える権利に加えて、送信元である EEA もしくはスイスの UCB BCR 適用法人の所在地の管 轄裁判所、またはベルギーの管轄裁判所に訴える権利も有するものとする。 第三者受益権に基づき利益を受けるデータ主体は、その権利についてUCBより通知される。 16 EEA の責任 送信元が EEA で EEA 以外へ転送される個人情報に関して、UCB S.A.は、EEA 以外にある UCB BCR 適用法人の行為を是正することと、かかる EEA 外の UCB BCR 適用法人による BCR への違反により EEA に居住するデータ主体が被り得る損害を、裁判所およびデータ 保護監督当局の両方またはそのいずれかが命じた範囲内で賠償することについて責任を 負い、承諾する。 EEA に居住するデータ主体が、損害を被ったこと、および当該損害が BCR の違反により発 生した可能性が高いことを示す事実を立証することができる場合、UCB S.A.は、それらの UCB BCR 日付： 2015年11月30日 14 / 22ページ 損害を発生させた BCR の違反について責任がないこと、またはそのような違反が発生しな かったことを証明する責を負うものとする。 17 データ保護監督当局との協力 UCB BCR 適用法人は、BCR に関連する問題に関し、勧告や助言が適用される法律に抵 触しない範囲において、データ保護監督当局と協力することに同意するものとする。 また、UCB BCR 適用法人は、データ保護監督当局が BCR に関して行う場合がある監査 要求などの要求について、その要求が適用される法律と矛盾しない範囲において、合理的 な期間内に回答することを約束する。 18 BCR の更新 UCB は、データ保護監督当局および UCB BCR 適用法人に、BCR の実質的な変更を毎年 知らせることを約束する。 また、UCB は、BCR の実質的な変更が常にデータ主体に知らさ れるようにする。 個人情報保護管理責任者は、BCR および UCB BCR 適用法人の一覧を更新する責任を 負う。 個人情報保護管理責任者は、BCR の変更を追跡し記録するものとする。 個人情報 保護管理責任者は、要求があった場合、かかる変更をデータ保護監督当局またはデータ 主体に提供するものとする。 別紙 2 に記載された個人情報を、別紙 1 の一覧に記載されず BCR によって拘束されない UCB の法人に転送することは、当該 UCB の法人が BCR によって有効に拘束され、BCR の遵守が実現可能にならない限り、できない。 19 BCR の発効日および有効期間 BCR は、UCB BCR 適用法人によるグループ内契約の締結をもって、すべての UCB BCR 適用法人に対して発効する（適用される法律により、BCR の発効前にデータ保護監督当局 の承認および特定の手続の完了の両方またはそのいずれかが求められている国の場合 は、かかる承認の受領およびかかる手続の完了の両方またはそのいずれかをもって、BCR が発効するものと解釈される）。かかる契約は、1 部または複数の副本をもって締結され、 そのそれぞれが原本と見なされるものとするが、すべての副本が同一の法的文書を構成 するものとする。 BCR は無期限に有効に存続するものとする。 いずれかの UCB BCR 適用法人により上記のグループ内契約が解除された場合、その UCB BCR 適用法人では、解除日以降、処理または転送されるすべての個人情報に対して BCR は拘束力を失い適用されなくなるものとする。解除までに処理または転送された個人 UCB BCR 日付： 2015年11月30日 15 / 22ページ 情報にかかる BCR に基づく義務は、当該個人情報が消去されるまで、または適用される 法律および規制により求められる期限まで、存続するものとする。このような変更があった 場合、個人情報保護管理責任者は、上記第 18 項の規定に従って、必要な措置を行って BCR を更新する。 UCB BCR 別紙 1 - UCB BCR 適用法人 オーストリア UCB Pharma Gesellschaft m.b.H. オーストラリア UCB Australia Pty. Ltd. ベルギー UCB S.A. UCB Pharma S.A. UCB Biopharma SPRL UCB Belgium S.A. UCB Fipar S.A. Sifar S.A. ブラジル UCB Farma Brasil Ltda UCB Biopharma S.A. ブルガリア UCB Bulgaria EOOD カナダ UCB Canada Inc 中国 UCB Trading (Shanghai) Co. Ltd. UCB Pharma (Zhuhai) Company Limited チェコ共和国 UCB s.r.o. デンマーク UCB Nordic AS フィンランド UCB Pharma Oy フランス UCB Pharma S.A. 日付： 2015年11月30日 16 / 22ページ UCB BCR ドイツ UCB GmbH UCB Pharma GmbH UCB BioSciences GmbH Sanol GmbH UCB Primary Care GmbH & Co. KG ギリシャ UCB A.E. 香港 UCB Pharma (Hong Kong) Ltd. ハンガリー UCB Hungary Ltd. インド UCB India Private Limited Uni-Mediflex Private Limited アイルランド UCB (Pharma) Ireland Ltd. UCB Manufacturing Ireland Ltd. イタリア UCB Pharma S.p.A. 日本 ユーシービージャパン株式会社 ルクセンブルグ UCB Lux S.A. メキシコ UCB de Mexico S.A. de C.V. Vedim S.A. de C.V. ノルウェー UCB Pharma A.S. オランダ UCB Finance N.V. 日付： 2015年11月30日 17 / 22ページ UCB BCR UCB Pharma B.V. ポーランド Vedim Sp. z.o.o. UCB Pharma Sp. z.o.o. ポルトガル UCB Pharma (Produtos Farmacêuticos) Lda ルーマニア UCB Pharma Romania S.R.L. ロシア UCB Pharma LLC UCB Pharma Logistics LLC スロバキア UCB s.r.o. スペイン Vedim Pharma S.A. UCB Pharma S.A. 韓国 Korea UCB Co. Ltd. スウェーデン UCB Pharma Ab スイス UCB Farchim SA UCB Investissements S.A. Doutors Réassurance S.A. UCB-Pharma AG UCB Medical Devices S.A. Medeva Pharma Suisse S.A. トルコ UCB Pharma A.S. ウクライナ UCB Ukraine LLC 日付： 2015年11月30日 18 / 22ページ UCB BCR UCB Pharma GmbH Representative Office Kiev イギリス UCB Celltech UCB Fipar Ltd Fipar UK Ltd UCB (Investments) Ltd. Celltech Group Ltd Celltech R&D Ltd UCB Ireland Celltech Ltd Darwin Discovery Ltd UCB Pharma Ltd International Medication Systems Ltd Schwarz Pharma Ltd 米国 UCB Holdings Inc Fipar US Inc UCB Inc UCB Pharco Inc Celltech US LLC UCB Manufacturing Inc UCB Technologies Inc Upstate Pharma LLC UCB Biosciences Inc 日付： 2015年11月30日 19 / 22ページ UCB BCR 日付： 2015年11月30日 20 / 22ページ 別紙 2 - BCR の対象となる個人情報および処理・転送の目的 1. UCB BCR 適用法人間で処理・転送される個人情報のカテゴリー データ主体の所在地、UCB BCR適用法人との交流の性質、適用される法律および規制の 要件（特に、要配慮個人情報の処理に関するデータ保護要件）に応じて、UCB BCR適用法 人により処理され、UCB BCR適用法人間で転送される可能性のある個人情報の種類には、 該当する場合、特に以下が含まれ得る。 UCBの従業員関連データ：連絡先の詳細（例：名前、自宅および勤務先の住所・電話番 号・電子メールアドレス、勤務先FAX番号、緊急連絡先情報）、個人的特徴（例：性別、 生年月日、出生地、結婚歴、家族構成、国籍）、国の識別番号（例：社会保障番号）、学 歴、職歴、専門分野、職務情報（例：役職、地位、勤務地）、業績、給与、賞与、報酬およ び手当、支払関連情報（例：銀行口座番号）、内部従業員識別番号、訓練記録、画像、 音声・映像記録、個人プロフィール（例：業務および個人に関連する興味など） 患者および介護者関連データ：連絡先の詳細（例：名前、イニシャル、郵送先住所およ び電子メールアドレス、電話番号）、個人的特徴（例：性別、生年月日・年齢）、健康関連 データ（例：体重、身長、病歴、妊娠の有無）、個別患者識別番号、種族的出身、ライフ スタイル、個人的経験、支払関連情報（銀行口座番号など）、画像、音声・映像記録、患 者の血縁者・家族に関連する情報 医療関係者関連データ：連絡先の詳細（例：名前、郵送先住所、電子メールアドレス、電 話および FAX 番号）、社内および社外の識別番号、支払関連情報（銀行口座番号な ど）、職務情報（役職、活動など）、教育および資格、UCB BCR 適用法人との交流（例： 現場ベースのイベント、スポンサー付きのイベント、臨床研究）、治療に関する考え方お よび UCB BCR 適用法人の製品や治療領域へのアプローチ、ライフスタイル（例：コミュ ニケーションに関する個人の好み） 外部作業者およびベンダーの関連データ：連絡先の詳細（例：名前、住所、電話および FAX 番号、電子メールアドレス）、支払関連情報（銀行口座情報など） 上記の個人情報の種類は、個人情報保護管理責任者により、必要に応じて修正される場 合がある。 UCB BCR 日付： 2015年11月30日 21 / 22ページ 2. 処理およびグループ内転送の目的 BCRは、UCBグループのグルーバルな活動の一部として、適用される法律により認められ る範囲で、主として以下の目的などの正当な業務上の目的および法律によって求められて いるまたは明示的に認められているその他の目的のために、UCB BCR適用法人により処 理され、これらの法人間で転送される個人情報に適用される。 （i）従業員関連の活動：UCB BCR 適用法人は、次のような雇用に関する目的のために、 UCB の従業員の個人情報を処理・転送する場合がある。 ・採用、雇用関係の活動および義務の実行（当局への必要な報告を含む） ・給与および事務手続管理、報酬、手当、および長期的インセンティブの管理 ・訓練、能力開発、および教育、目標設定および目標プロセスによる管理、国際的な配 置および移動、健康および安全性に関係するデータの処理；従業員の活動および業績 の監視と評価、人材および組織見直しの管理 ・UCB の連携ウェブツール、メールボックス、インスタントメッセージングソリューション、 従業員が使用するその他の UCB 情報システムおよびあらゆる形式の電子およびデジ タルメディア、サービスの監視と管理 ・従業員の業務上の出張および経費の監視および管理 ・法律で求められる報告義務の遵守および同様の活動 など 上記の雇用に関する目的のほかに、UCBの従業員、外部作業者、および外部ベンダーの 従業員の一部の個人情報（連絡先の詳細など）は、グループ内のコミュニケーションの目 的で、イントラネットディレクトリなどを通じて、UCB BCR適用法人により処理・転送される 場合もある。 また、UCB BCR適用法人の従業員の一部の個人情報は、業務上のプロセスをサポートし、 UCBのITリソース（データ、サービス、およびアプリケーション）へのユーザーのアクセス権 を管理し、チーム間および個人間の連携を可能にするため、UCB BCR適用法人により処 理・転送される場合もある。外部作業者および外部ベンダーの従業員についても同様で ある。 （ii）研究および開発に関する活動：UCB BCR 適用法人は、臨床試験、疫学試験、同様の 医学研究活動など、UCB BCR 適用法人主導の研究活動に参加する患者および医療関係 者（例：治験責任医師）の個人情報を処理し、他の UCB BCR 適用法人に転送する場合が ある。 （iii）医薬品安全性監視および製品品質に関する活動：UCB BCR 適用法人は、医薬品の 安全性および医薬品安全性監視の活動に関連して、特に、有害事象およびその他の種類 の製品に関する苦情を処理するときに、UCB BCR 適用法人が関連する法的要求事項を遵 守するために、患者および医療関係者の個人情報を処理し、他の UCB BCR 適用法人に 転送する場合がある。 UCB BCR 日付： 2015年11月30日 22 / 22ページ （iv）（ii）および（iii）以外の患者・介護者との活動：UCB BCR 適用法人は、患者補助支援プ ログラム、処方薬の値引き、償還支援プログラム、患者洞察に関する活動に関係する患者 など、UCB との交流がある患者・介護者の個人情報を処理し、他の UCB BCR 適用法人に 転送する場合がある。 （v）医療に関する質問の処理：UCB BCR 適用法人は、医療関係者、患者、介護者など、医 療に関する質問を問い合わせてくる人物に関連する個人情報を処理し、他の UCB BCR 適 用法人に転送する場合がある。 （vi）商業関連の活動（販売、マーケティング、市場調査・参入など）： UCB BCR適用法人は、UCB BCR適用法人の通常の業務活動の範囲で実行する、顧客 関係管理に関連する目的、市場調査、市場参入、その他の販売およびマーケティング活 動のために、個人情報を処理し、他のUCB BCR適用法人に転送する場合がある。 （vii）外部作業者およびベンダー関連の活動：UCB BCR 適用法人は、外部作業者およびベ ンダーと締結した契約書の履行に関連して、これらの外部作業者および外部ベンダーの従 業員に関連する個人情報を処理し、他の UCB BCR 適用法人に転送する場合がある。 （viii）コンプライアンス、内部調査、および監査：UCB BCR 適用法人は、コンプライアンス、 内部調査、および監査のために、個人情報を処理し、他の UCB BCR 適用法人に転送する 場合がある。このような種類の処理は、UCB BCR 適用法人と医療関係者との関係の透明 性を目的とする公開要件を遵守するためなど、特定の国で要求される場合がある。 （ix）法的手続および政府による調査：UCB BCR適用法人は、規制当局による法的手続お よび調査との関係で、個人情報を処理し、他のUCB BCR適用法人に転送する場合がある。 3. UCB BCR 適用法人間でのグループ内転送の説明 グローバルな活動を効率的に実施するため、UCB BCR 適用法人が行う個人情報の処理 は、BCR において特定された目的に関係して、従業員または上記のその他の種類のデー タ主体からの個人情報の国際転送や、UCB BCR 適用法人から他の UCB BCR 適用法人 への個人情報の国際転送を伴う場合があり、ほとんどの場合（ただし限定されない）、EEA 参加国、特に、UCB グループのいくつかの中央サーバーが配置されているベルギーから の国際転送を伴う。
© Copyright 2024 Paperzz
